Mac内核恐慌（Kernel Panic）日志可通过统一日志与诊断报告分层提取：一、用log show检索panic相关事件；二、查Previous shutdown cause代码（如3）确认崩溃性质；三、列出.panic/.diag文件定位原始报告；四、用cat/grep快速分析最新报告关键堆栈；五、借助jq结构化解析批量日志。
如果您在Mac上遇到系统意外重启、黑屏或内核恐慌（Kernel Panic）现象，系统已自动记录相关崩溃痕迹。这些日志分散于统一日志数据库与诊断报告文件中，需通过终端命令分层提取才能完整还原故障现场。以下是多种可靠方法：
一、检索统一日志中所有内核崩溃线索
macOS统一日志系统会为每次Kernel Panic前后的关键事件生成结构化条目，包含panic、backtrace、shutdown cause等字段，是定位崩溃时间与上下文的第一手依据。
1、执行命令提取最近30天内所有含“panic”或“Kernel Panic”的日志：
log show --predicate 'eventMessage contains "panic" OR eventMessage contains "Kernel Panic"' --last 30d
2、限定至内核子系统以排除应用层干扰：
log show --predicate 'subsystem == "com.apple.kernel" AND eventMessage contains "panic"' --last 90d
3、导出为桌面文本文件便于离线分析：
log show --predicate 'eventMessage contains "panic"' --last 60d > ~/Desktop/panic_log.txt
二、提取关机原因代码判断崩溃性质
系统每次非正常关机均会写入“Previous shutdown cause”字段，其十六进制数值直接对应故障类型，其中3代表内核不可恢复错误，是Kernel Panic的标志性代码。
1、拉取全部历史关机原因记录（不限时间）：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --info --debug
2、仅查看最近7天的关机诱因：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 7d
3、精确查询某日区间（如2026年5月15日至16日）：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --start "2026-05-15" --end "2026-05-16"
三、列出并验证所有已生成的内核崩溃报告文件
每次Kernel Panic发生后，系统自动生成一个以时间戳命名的.panic或.diag文件，存放于系统级或用户级诊断目录，文件本身即为完整内存快照与调用堆栈原始证据。
1、查看当前用户触发的崩溃报告（无需权限）：
ls -t ~/Library/Logs/DiagnosticReports/*.panic 2>/dev/null
2、查看系统级崩溃报告（需管理员权限）：
sudo ls -lt /var/log/diagnostic/*.panic 2>/dev/null
3、列出/Library/Logs/DiagnosticReports/下所有panic及diag文件：
ls -t /Library/Logs/DiagnosticReports/*.{panic,diag} 2>/dev/null
四、快速查看最新崩溃报告的核心内容
完整.panic文件可能长达数千行，直接读取效率低；跳过头部元数据、提取关键堆栈段可快速确认是否为内核级问题，避免误判硬件或电源故障。
1、显示最新.panic文件前100行（避开冗长头信息）：
cat "$(ls -t /Library/Logs/DiagnosticReports/*.{panic,diag} 2>/dev/null | head -n1)" | head -n 100
2、精准提取崩溃触发点关键词段落：
grep -A 20 -B 5 -i "Machine Check Architecture\|IORegistry\|kernel_task" "$(ls -t /Library/Logs/DiagnosticReports/*.panic | head -1)" 2>/dev/null
3、若发现大量kernel_task调用栈或IORegistry异常，基本可确认为内核级崩溃而非用户进程崩溃。
五、使用jq工具结构化解析日志（需提前安装）
当需批量提取、去重或关联多字段时，jq可将JSON格式日志流转化为结构化输出，显著提升分析效率，尤其适用于排查偶发性、多发性崩溃模式。
1、先通过Homebrew安装jq（如未安装）：
brew install jq
2、提取最近30天所有panic及关机原因消息并去重排序：
log show --predicate 'eventMessage contains "Previous shutdown cause" || eventMessage contains "panic"' --last 30d --style json | jq -r '.eventMessage' | grep -i -E "(panic|shutdown cause|Previous shutdown cause)" | sort -u
3、单独提取shutdown cause值及其时间戳：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 7d --style json | jq -r 'select(.eventMessage | contains("Previous shutdown cause")) | "\(.timestamp) \(.eventMessage)"'
